情報セキュリティマネジメント試験 科目A 情報セキュリティ全般 練習問題 第10問: 社内で使っているネットワーク機器の製品に脆弱性があると公表され、その脆弱性を悪用した攻撃も確認されている。しかし、開発元からの修正プログラムはまだ提供されていな

正解: 4. 修正プログラムが無い前提で一時的な回避策を適用し、多層防御と異常を検知する仕組みで被害を抑える。

「修正プログラムが無い前提で一時的な回避策を適用し、多層防御と異常を検知する仕組みで被害を抑える」が適切です。IPA「情報セキュリティ10大脅威 2026」解説書（組織編・四版）は、開発ベンダー等が脆弱性対策情報を公表する前に悪用する攻撃をゼロデイ攻撃と呼び、その対策として修正パッチが無いことを前提とした多層防御と、異常を検知する仕組み・体制の構築を挙げています。総務省「国民のためのサイバーセキュリティサイト」も、修正プログラムの作成に時間を要する場合は、発表までの間は一時的回避策でシステムを保護し、発表後に修正対応を行うよう求めています。調査だけで待つ対応や回避策を後回しにする対応は、悪用が確認されている間の保護を欠きます。製品の入れ替えが先に求められているわけでもありません。

関連キーワード: ゼロデイ攻撃・一時的回避策・多層防御